شرکت سیسکو (Cisco) روز چهارشنبه از انتشار وصله‌های امنیتی برای ۳۵ آسیب‌پذیری در محصولات مختلف خود خبر داد که بیش از دوازده مورد از آن‌ها در دسته شدت بحرانی (Critical-severity) قرار دارند.
به‌روزرسانی‌های امنیتی Meraki
در نسخه‌ی جدید سخت‌افزاری Meraki، چندین باگ امنیتی که در قالب هفت CVE دسته‌بندی شده‌اند، برطرف شده‌اند. شدیدترین مورد، CVE-2026-76464 است که مشکلات حافظه از جمله سرریز بافر (Buffer overflow) و نوشتن خارج از محدوده (Out-of-bounds write) را پوشش می‌دهد.
اصلاحات در License On-Prem
سیسکو همچنین هشت باگ را در بخش License On-Prem برطرف کرده که پنج مورد از آن‌ها دارای شدت بحرانی هستند. دو مورد از این آسیب‌پذیری‌ها (CVE-2026-20328 و CVE-2026-76454) می‌توانند منجر به دسترسی غیرمجاز (Unauthorized access) و ایجاد شرایط DoS شوند و نکته قابل توجه این است که مهاجمان می‌توانند بدون نیاز به احراز هویت (Unauthenticated) از آن‌ها بهره‌برداری کنند.
سه مورد دیگر (CVE-2026-76482، CVE-2026-76480 و CVE-2026-76483) مربوط به نقص در احراز هویت، تأیید نادرست امضای رمزنگاری شده (Cryptographic signature) و محافظت ناکافی از اعتبارنامه‌ها (Credentials) هستند.
آسیب‌پذیری‌های سیستم‌عامل NX-OS
در سیستم‌عامل NX-OS، چهارده آسیب‌پذیری شناسایی شده که هفت مورد از آن‌ها بحرانی هستند. نقص‌های مربوط به کنترل دسترسی نادرست و نوشتن خارج از محدوده تحت دو کد CVE-2026-76455 و CVE-2026-76459 اصلاح شده‌اند.
علاوه بر این، دو باگ دیگر با شناسه‌های CVE-2026-76471 و CVE-2026-76465 به مهاجمان از راه دور و بدون احراز هویت اجازه می‌دادند تا کد دلخواه (Arbitrary code) را با دسترسی سطح ریشه (Root privileges) اجرا کرده یا باعث ایجاد وضعیت DoS شوند.
سه مورد دیگر از آسیب‌پذیری‌ها تنها در سوئیچ‌های سری Nexus 3000 و Nexus 9000 که قابلیت NGOAM در آن‌ها فعال است، قابل تحریک هستند.
سایر محصولات (APIC و Finesse)
سیسکو همچنین سه آسیب‌پذیری بحرانی را در Application Policy Infrastructure Controller (APIC) با شناسه‌های CVE-2026-76498، CVE-2026-76499 و CVE-2026-76500 برطرف کرد که شامل نقص در کنترل دسترسی، تزریق دستورات سیستم‌عامل (OS injection) و مشکلات حافظه بودند.
در نهایت، یک نقص امنیتی با شدت بالا از نوع SSRF در محصول Finesse با شناسه CVE-2026-20362 که پیش‌تر به صورت عمومی افشا شده بود، اصلاح شد.
سیسکو اعلام کرده است که تا این لحظه گزارشی مبنی بر بهره‌برداری واقعی (Exploited in the wild) از هیچ‌یک از این آسیب‌پذیری‌ها دریافت نکرده است.
به‌روزرسانی (اکتبر 8, 2026 — BleepingComputer)
به‌روزرسانی: سیسکو اخیراً پنج آسیب‌پذیری بحرانی در سیستم‌عامل شبکه مرکز داده (NX-OS) شناسایی کرده است که می‌تواند به مهاجم اجازه دهد کدهای دلخواه را با دسترسی Root روی سوئیچ‌های Nexus اجرا کند. در صورتی که اجرای کد از راه دور (RCE) ممکن نباشد، این نقص‌ها می‌توانند منجر به توقف پردازش‌ها و ریبوت شدن دستگاه و در نتیجه ایجاد وضعیت Denial-of-Service (DoS) شوند.
این آسیب‌پذیری‌ها سوئیچ‌های سری Nexus 3000 و 9000 را در حالت Standalone تحت تأثیر قرار می‌دهند، مشروط بر اینکه قابلیت‌های NX-API، NGOAM یا MPLS OAM فعال باشند. برخی از این نقص‌ها شرایط خاص‌تری برای بهره‌برداری دارند:
- CVE-2026-76486: نیازمند فعال بودن Segment Routing over IPv6 (SRv6) یا NV Overlay است.
- CVE-2026-76501: تنها در مدل‌هایی از Nexus 9000 که SRv6 فعال دارند قابل بهره‌برداری است.
- CVE-2026-76465: نیازمند فعال‌سازی صریح MPLS OAM است.
سیسکو توصیه می‌کند برای رفع این موارد از ابزار Software Checker استفاده کرده و نسخه‌های NX-OS را به‌روزرسانی کنید. همچنین برای دستگاه‌هایی که امکان ریبوت فوری ندارند، سیستم حفاظتی Live Protect shields ارائه شده است. لازم به ذکر است که سوئیچ‌های Nexus 7000 و مدل‌های Nexus 9000 در حالت ACI تحت تأثیر این نقص‌ها نیستند.
علاوه بر این، سیسکو به‌روزرسانی‌های امنیتی برای سیستم مدیریت لایسنس (Cisco License / Smart Software Manager) منتشر کرده است. این به‌روزرسانی‌ها نقص‌های شدیدی از جمله عدم احراز هویت در توابع حساس (CVE-2026-76480 با CVSS 9.8) و نقص در تأیید امضای رمزنگاری (CVE-2026-76482 با CVSS 10.0) را پوشش می‌دهد. کاربران باید سریعاً به نسخه 10-202609 ارتقا یابند، زیرا هیچ راهکار جایگزینی (Workaround) برای این موارد وجود ندارد.
